Veille sécuritéCMS & e-commerce
P4Non déterminée
Ninja Forms présente une XSS stockée via le paramètre formData.extra, liée à un traitement insuffisant des entrées et des sorties. La description rapporte qu’un nonce valide peut être obtenu par un demandeur non authentifié ; aucun correctif n’est confirmé ici pour cette CVE précise.
WordPress
IdentifiantCVE-2026-109997
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109997
Analyse technique
Soumission non authentifiée via nf_ajax_submit et insertion de contenu scripté dans une page consultée ultérieurement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T06:16:31.853Z, soit 08:16:31 en +02:00, dans la période. Son horodatage de mise à jour est postérieur à la borne ; les données issues de cette mise à jour sont écartées.
ImpactUn attaquant non authentifié peut injecter un script exécuté lors de la consultation d’une page affectée.
Versions affectéesJusqu’à 3.15.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,44% · percentile 38,5%
Publication2026-10-31T08:16:31+02:00
Action recommandée
Mettre à jour Ninja Forms vers une version corrigeant cette vulnérabilité dès sa confirmation ; surveiller les formulaires concernés.
Sources
Priorisation DFS : P4 · 1 source(s).